Autor: radca prawny Iwona Rohloff · Kancelaria prawna Prometheus Legal Office · Stan prawny na 13 października 2026 r.
Po wycieku liczą się pierwsze dni: zastrzeżenie numeru PESEL, zmiana haseł i zabezpieczenie dowodów. Niezależnie od tego poszkodowanemu przysługuje roszczenie o odszkodowanie i zadośćuczynienie od administratora, który danych nie upilnował.
W skrócie
Zastrzeż PESEL w aplikacji mObywatel, na gov.pl albo w urzędzie gminy - bezpłatnie.
Zmień hasła i włącz logowanie dwuskładnikowe.
Zachowaj zawiadomienie o wycieku i każdą podejrzaną wiadomość lub telefon.
Odszkodowanie od administratora przyznaje sąd - skarga do UODO pieniędzy nie daje.
Skąd wiadomo, że moje dane wyciekły?
Najczęściej z zawiadomienia od administratora (e-mail, list, SMS). Administrator musi je wysłać bez zbędnej zwłoki, gdy naruszenie może powodować wysokie ryzyko dla praw osób, których dane dotyczą (art. 34 RODO). Gdy indywidualne zawiadomienie wymagałoby niewspółmiernego wysiłku, wystarcza komunikat publiczny - na stronie firmy lub w mediach.
W razie wątpliwości można zażądać od administratora informacji, jakie dane przetwarza, oraz kopii tych danych (art. 15 RODO) - odpowiedź powinna przyjść w ciągu miesiąca. Więcej: zawiadomienie o wycieku danych - co oznacza.
Co zrobić od razu po wycieku danych?
Zastrzeż numer PESEL - w aplikacji mObywatel, na gov.pl albo w urzędzie gminy. Zastrzeżenie jest bezpłatne i można je w każdej chwili cofnąć; banki i firmy pożyczkowe muszą je sprawdzać przed udzieleniem kredytu.
Zmień hasła do konta, z którego wyciekły dane, i do każdego serwisu, w którym używasz tego samego hasła; włącz logowanie dwuskładnikowe.
Dokument tożsamości - gdy wyciekł skan albo dane dowodu osobistego, rozważ zastrzeżenie dokumentu w banku (system Dokumenty Zastrzeżone) i jego wymianę.
Uważaj na oszustów - po wycieku rośnie liczba wiadomości podszywających się pod banki, firmy kurierskie i urzędy. Nie klikaj w linki i nie podawaj kodów.
Monitoruj historię kredytową - np. przez alerty w Biurze Informacji Kredytowej.
Jakie dowody warto zachować?
zawiadomienie o wycieku albo zrzut ekranu komunikatu administratora,
podejrzane wiadomości e-mail i SMS, wykaz podejrzanych połączeń,
potwierdzenia kosztów: zastrzeżenia, wymiany dokumentów, pomocy prawnej,
dokumenty strat - np. wyłudzonego kredytu albo przelewu na podmieniony rachunek,
krótkie notatki: kiedy i jak dowiedziałeś się o wycieku, co zrobiłeś, jak to wpłynęło na codzienne życie.
To dowody w sprawie o odszkodowanie - bez nich trudniej wykazać szkodę.
Czy zgłaszać sprawę na policję albo do UODO?
Policja - gdy dane zostały już wykorzystane do przestępstwa (wyłudzenie, podszywanie się). Zawiadomienie o przestępstwie przyda się też w sprawie cywilnej.
Prezes UODO - skarga (art. 77 RODO) jest bezpłatna i może skończyć się nakazem albo karą dla administratora. Nie daje jednak pieniędzy poszkodowanemu: odszkodowanie i zadośćuczynienie zasądza wyłącznie sąd (art. 79 i 82 RODO).
Czy należy mi się odszkodowanie?
Jeżeli wyciek wyrządził szkodę - także niemajątkową, jak uzasadniona obawa przed nadużyciem danych - tak (art. 82 RODO). Kwota zależy od rodzaju danych i skutków wycieku. Szczegóły: odszkodowanie za wyciek danych - ile można dostać.
Twoje dane wyciekły?
Kancelaria prawna Prometheus Legal Office dochodzi odszkodowania i zadośćuczynienia za wyciek danych od wezwania do wyroku. Jedynym kosztem klienta jest opłata sądowa od pozwu - tylko gdy sprawa trafi do sądu. Wynagrodzenie: 50% + VAT wyłącznie od kwot, które przeciwnik faktycznie wypłaci.
Art. 33 i art. 34 RODO - zgłoszenie naruszenia organowi nadzorczemu w ciągu 72 godzin oraz zawiadomienie osób, których dane dotyczą, gdy naruszenie może powodować wysokie ryzyko.
Art. 12 ust. 3 i art. 15 RODO - prawo dostępu do danych i kopii danych; odpowiedź w terminie miesiąca, z możliwością przedłużenia o dwa miesiące.
Art. 77 i art. 79 RODO - skarga do organu nadzorczego oraz prawo do skutecznego środka ochrony prawnej przed sądem.
Art. 82 RODO (rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679) - prawo do odszkodowania za szkodę majątkową lub niemajątkową; administrator zwolniony z odpowiedzialności tylko wtedy, gdy udowodni, że w żaden sposób nie ponosi winy za zdarzenie (ust. 3).
Ustawa z 7 lipca 2023 r. o zmianie niektórych ustaw w celu ograniczania niektórych skutków kradzieży tożsamości - zastrzeżenie numeru PESEL (od 17 listopada 2023 r.) i obowiązek sprawdzania zastrzeżenia m.in. przez banki przed udzieleniem kredytu (od 1 czerwca 2024 r.).
Art. 442¹ § 1 k.c. - przedawnienie roszczenia o naprawienie szkody wyrządzonej czynem niedozwolonym: 3 lata od dowiedzenia się o szkodzie i o osobie obowiązanej, nie dłużej niż 10 lat od zdarzenia.
Materiał ma charakter informacyjny i przedstawia stan prawny na 13 października 2026 r.. Nie stanowi porady prawnej w indywidualnej sprawie. Ocena konkretnego stanu faktycznego wymaga analizy dokumentów.
Materiał opracowała radca prawny Iwona Rohloff · Stan prawny na 13 października 2026 r.
PROMETHEUSLEGAL OFFICE